Cloud Governance in Deutschland – eine Standort bestimmung · Grund genug, eine Zwischenbilanz zu...

www.pwc.de/cloud

Cloud Governance in Deutschland – eine Standortbestimmung

Cloud Computing ist in der Unternehmens-IT angekommen. Wir haben IT-Governance-Experten zu ihren Erfahrungen befragt und ein aktuelles Stimmungsbild zu den Vorteilen, den Risiken und den Auswirkungen der Cloud-Nutzung ermittelt.

Cloud Governance in Deutschland – eine Standort bestimmung 3

Vorwort

Vorwort

ISACA

Cloud Computing ist in den Unternehmen angekommen. Erste Erfahrungen damit liegen bei den meisten Unternehmen bereits vor. Neben Euphorie und Skepsis beherrscht vielfach aber immer noch eine ausgeprägte Unsicherheit die Diskussion um die Nutzung von IT-Ressourcen aus dem Internet. Das Spannungsfeld ist klar: Zwischen den Chancen – primär Kosteneinsparungen – auf der einen Seite und den Compliance- und Datenschutzbedenken auf der anderen Seite wird nach Wegen gesucht, vom Cloud Computing zu profitieren, ohne dabei unwägbare Risiken einzugehen. Grund genug, eine Zwischenbilanz zu ziehen, wie die Chancen und Risiken aktuell bewertet werden.

Als Verband von IT-Revisoren, IT-Sicherheitsmanagern und IT-Governance-Experten beschäftigt uns vor allem die Frage, wie die IT-Landschaft methodisch gesteuert und kontrolliert werden kann, um zuverlässig zum Erfolg der Unternehmen beizutragen. Deshalb interessierte uns, ob und gegebenenfalls wie sich die neue Technologie auf die IT-Steuerung auswirkt. Welche Standards werden genutzt, um Anbieter auszuwählen oder den Betrieb zu steuern und wie hilfreich sind sie? Nicht zuletzt wollten wir wissen, wie Unternehmen in Deutschland ihre bisherigen Erfahrungen bewerten und ob auch der Rückzug aus Cloud-basierten Verfahren funktioniert.

Ausgehend von diesen Fragen hat ISACA Germany Chapter die vorliegende Umfrage entwickelt und an alle Mitglieder verschickt. Wir haben sehr viele Fragen gestellt. Die Sorge, dass dieser Wissendurst unsere Mitglieder überfordern könnte, erwies sich aber als unbegründet. Über 300 qualifizierte Antworten haben uns erreicht. Wir bedanken uns bei allen, die uns unterstützt haben!

Nicht wenige der Ergebnisse haben uns überrascht. Hätten Sie beispielsweise gedacht, dass 23 Prozent der Befragten die Sicherheit von Cloud Computing sogar höher einschätzen als den Eigenbetrieb? Zwei Erkenntnisse der Umfrage sind für uns als Verband allerdings besonders bedeutsam: Erstens erwarten mehr als zwei Drittel der Befragten einen Anstieg an Management- und Kontrollaufwand im Zuge einer vermehrten Cloud-Nutzung. Und zweitens fehlt es immer noch in vielen Bereichen an Orientierung, vor allem bei der Umsetzung rechtlicher Vorgaben und bei der Prüfbarkeit von Cloud-Dienstleistungen. Es bleibt also noch viel Raum für Standardisierung und Aufklärung, den die ISACA auch weiterhin praxisnah füllen wird.

Herzlichst

Karin ThelemannPräsidentin ISACA Germany Chapter

4 Cloud Governance in Deutschland – eine Standort bestimmung

Vorwort

PwC

Viele Experten haben es vorausgesagt und nun wird es zunehmend Realität: Cloud Computing wird in der Breite genutzt. Schon von Beginn an haben wir gesehen, dass Cloud Computing die IT langfristig und tiefgreifend verändern wird. Vielleicht etwas weniger drastisch und nicht ganz so rasch, wie es die Analysten anfangs erwartet haben. Dennoch wurde bald klar, dass Cloud-Services in den nächsten Jahren nicht mehr nur „Spielwiese“ sein werden, sondern zu einer ernst-zunehmenden on premise-Alternative heranwachsen.

Als Wirtschaftsprüfer sehen wir, quasi berufsbedingt, in neuen technischen Möglichkeiten oftmals zuerst die Risiken. Doch klar ist auch, dass diese bei richtiger Implementierung und Steuerung der Technologie auf ein akzeptables Maß reduziert werden können, sodass die IT-Anwender optimal von ihr profitieren können. Anbieter und Nutzer setzen daher bereits seit Langem auf unser Know-how. Als Marktführer im Bereich Zertifizierung von Cloud-Anbietern und als vielfach von Analysten ausgezeichnetes Beratungsunternehmen, sind wir bei Fragen zu Verfügbarkeit, Sicherheit, Datenschutz, Risikomanagement und Compliance oft gesetzter Ansprechpartner.

In der IT ist es jedoch unerlässlich, stets auf dem neuesten Stand zu sein und zu bleiben. Daher ist es für uns wesentlich, die aktuellen Entwicklungen zu verfolgen, mitzugestalten und auch eigene Marktforschung zu betreiben. Diese kann jedoch nur zu aufschlussreichen Erkenntnissen führen, wenn Experten unterschiedlicher Fachrichtungen ihre Sicht der Dinge beitragen. Für die vorliegende Studie haben wir gemeinsam mit dem ISACA Germany Chapter eine detaillierte und umfangreiche Befragung durchgeführt, an der sich mehr als 300 Experten beteiligt haben. Ihnen allen danken wir für ihren Beitrag.

Die Ergebnisse dieser Befragung sind für uns in einigen Punkten bemerkenswert – doch lesen Sie selbst.

Wir bedanken uns für Ihr Interesse an der vorliegenden Studie und wünschen Ihnen eine informative Lektüre!

Herzlichst

Markus VehlowPartner


Inhaltsverzeichnis

Inhaltsverzeichnis

Abbildungsverzeichnis ............................................................................................. 6

A Zusammenfassung ........................................................................................ 8

B Methodik der Studie .................................................................................... 12

C Informationen zu den Befragten ..................................................................14

D Studienergebnisse ........................................................................................181 Die Bedeutung von Cloud Computing für Unternehmen .............................. 202 Nutzung von Cloud Computing in Unternehmen ......................................... 263 Beurteilung der Güte von Cloud-Angeboten ................................................ 344 Haltung der Fachabteilungen gegenüber Cloud Computing ......................... 385 Herausforderungen für die Steuerung der IT ............................................... 42

E Fazit und Ausblick ....................................................................................... 48

Ihre Ansprechpartner ............................................................................................. 52


Abbildungsverzeichnis


Abb. 1 Befragte Personen ..................................................................................15

Abb. 2 Branchenzugehörigkeit der betrachteten Unternehmen .........................15

Abb. 3 Tätigkeitsregionen der betrachteten Unternehmen ................................16

Abb. 4 Mitarbeiterzahl der betrachteten Unternehmen .....................................17

Abb. 5 Jahresnettoumsatz der betrachteten Unternehmen ................................17

Abb. 6 Anteil der Anwenderunternehmen .........................................................20

Abb. 7 Cloud Computing als Vorstandsthema ....................................................21

Abb. 8 Existenz einer Cloud-Strategie im Unternehmen ....................................22

Abb. 9 Die Bedeutung von Cloud Computing .....................................................22

Abb. 10 Planung der Cloud-Nutzung in absehbarer Zeit ......................................23

Abb. 11 Gründe gegen die Nutzung von Cloud Computing ..................................24

Abb. 12 Entwicklungsstand der Unternehmen hinsichtlich Cloud Computing ...................................................................................25

Abb. 13 Dem Cloud Computing zugeschriebene Bedeutung ................................26

Abb. 14 Erwartete Vorteile durch Cloud Computing ............................................27

Abb. 15 Bedeutung der Vorteile von Cloud Computing ........................................28

Abb. 16 Nutzung von Cloud-Services pro Serviceform ........................................30

Abb. 17 Erfahrung mit unterschiedlichen Serviceformen....................................30

Abb. 18 Verhältnis von individuellen und standardisierten Serviceverträgen ....................................................................................31

Abb. 19 Vorhandene persönliche Erfahrungen mit unterschiedlichen Angebotsformen .....................................................................................32

Abb. 20 Positiv- und Negativerfahrungen mit unterschiedlichen Angebotsformen .....................................................................................32

Abb. 21 Haltung zur Speicherung von Unternehmensdaten in der Public Cloud .................................................................................33



Abb. 22 Umstände, unter denen die Speicherung von Unternehmensdaten in der Public Cloud denkbar ist ...............................................................33

Abb. 23 Erfahrungen mit dem Ausstieg aus der Cloud .........................................34

Abb. 24 Bedeutung von Kriterien bei der Auswahl von Cloud-Services und Cloud-Anbietern .....................................................35

Abb. 25 Relevante Standards und Zertifikate bei der Auswahl von Cloud-Anbietern ..............................................................................37

Abb. 26 Haltungen zu Cloud Computing .............................................................39

Abb. 27 Haupttreiber von Cloud Computing........................................................40

Abb. 28 Cloud-Computing-Skeptiker ...................................................................41

Abb. 29 Einsatz von IT-Steuerungsmodellen .......................................................42

Abb. 30 Eingesetzte IT-Steuerungsmodelle .........................................................43

Abb. 31 Erfahrungen mit den eingesetzten Steuerungsmodellen ........................44

Abb. 32 Zufriedenheit mit der aktuellen Literatur ...............................................44

Abb. 33 Bereiche, in denen mehr Orientierung gewünscht wird .........................45

Abb. 34 Vergleich der Steuerungsfähigkeit Cloud-Service versus konventionelle on premise IT ......................................................46

Abb. 35 Auswirkungen eines vermehrten Einsatzes von Cloud-Lösungen auf die IT-Governance ..................................................50

Abb. 36 Wahrscheinlichkeit des Bedeutungszuwachses der IT-Abteilung ............51


Zusammenfassung

A


Zusammenfassung

Cloud Computing hält zunehmend Einzug in die Unternehmens-IT. Das ISACA Germany Chapter und PwC Deutschland wollten daher ein aktuelles Stimmungsbild zu den wahrgenommenen Vorteilen und Risiken sowie insbesondere zu den Auswirkungen vermehrter Cloud-Nutzung auf die IT-Governance ermitteln.

Erstmals wurden deshalb gezielt IT-Governance-Experten1 zu ihren Erfahrungen mit Cloud Computing befragt. Zwischen Januar und Februar 2015 hat ein unabhängiges Marktforschungsinstitut 306 Experten mittels eines Online-Frage-bogens befragt. Teilgenommen haben hauptsächlich Führungs- und Fachkräfte aus den Bereichen Finanzen, Revision und Audit sowie IT und Risikomanagement. Sie alle gehören dem ISACA Germany Chapter an und haben Einblick in ein oder mehrere Unternehmen. Die Studienteilnehmer repräsentieren sowohl den deutschen Mittel stand als auch global agierende Konzerne.

Hoher Anteil an Unternehmen nutzt CloudServices• Sieben von zehn Unternehmen nutzen Cloud-Services.• Größere Unternehmen nutzen Cloud-Services intensiver als kleinere und haben

öfter eine Cloud-Strategie.• Unternehmen in den Branchen „Technologie, Medien und Kommunikation“ sowie

„Automotive“ haben häufiger eine Cloud-Strategie als andere Unternehmen.• Die Unternehmen erwarten vor allem Kostenvorteile, eine kürzere Time-to-

Market und weltweite Verfügbarkeit.

Unternehmen bevorzugen Software as a Service• Sowohl größere als auch kleinere Unternehmen bevorzugen nach wie vor

Software as a Service.• Die Unternehmen haben mit Software as a Service, Infrastructure as a Service

und Platform as a Service überwiegend gute Erfahrungen gemacht.• Für Business Process as a Service liegen aufgrund noch nicht ausgereifter Services

eher wenige Erfahrungen vor.

1 Wir bitten um Ihr Verständnis, dass wir zur besseren Lesbarkeit des Textes für Personenbezeichnungen das generische Maskulinum verwendet haben. Diese Form schließt alle Personen gleichermaßen ein.

2015 wurden

306 IT-Governance-Experten erstmals, mittels eines Online-Fragebogens, zu ihren Erfahrungen mit Cloud Computing befragt.


Auswahlkriterien weitgehend unverändert• Datenschutz, Informationssicherheit und Compliance sind nach wie vor die

wichtigsten Auswahlkriterien.• Der für den Cloud-Anbieter geltende Rechtsrahmen sowie der Standort der Server

sind wichtiger geworden. • Die Bedeutung von Zertifikaten hat zugenommen: Wichtigste Zertifikate sind

ISO/IEC 27001 sowie ISO/IEC 20000.

Governance von Cloud Computing bleibt herausfordernd• Drei von vier Unternehmen nutzen anerkannte Steuerungsmodelle und haben mit

ihnen bessere Erfahrungen gemacht als mit individuellen Modellen.• Cloud-Nutzer wünschen sich mehr Orientierung beim Risiko- und Compliance-

Management sowie der Prüfbarkeit von Cloud-Services und Cloud-Anbietern.• Aktuelle Steuerungsmodelle unterstützen Cloud Computing nicht optimal.

Zusammenfassung

Mit dem zunehmenden Einsatz von Cloud Computing wird sich die interne IT zum wichtigen Mittler zwischen Fachabteilung und Cloud-Anbieter weiterentwickeln.


Zustimmung und Ablehnung halten sich die Waage• Marketing- und Vertriebsabteilungen sowie die IT-Abteilung sind die stärksten

Befürworter von Cloud Computing.• Ein bemerkenswerter Anteil der IT-Abteilungen steht Cloud Computing jedoch

skeptisch gegenüber.• Größte Bedenkenträger sind die Beauftragten für Datenschutz sowie IT-Sicherheit

und Compliance.

Die vorliegende Studie zeigt: Cloud Computing ist schon lange kein Trend mehr – das neue Paradigma ist in den Unternehmen bereits zur Realität geworden. Denn: 70 Prozent der Befragten gaben an, Cloud Computing in ihrem Unternehmen bereits einzusetzen. Die meisten von ihnen gehen davon aus, dass sich dieser Anteil künftig noch erhöhen wird. Zugleich steigt jedoch auch der Wunsch nach mehr Orientierung sowie Steuerungsmodellen, die Cloud-spezifische Anforderungen besser abdecken.

der Befragten gaben an, Cloud Computing einzusetzen.

70 %


Methodik

B


Methodik der Studie

Erstmals haben das ISACA Germany Chapter und PwC Deutschland gezielt IT-Governance-Experten zu ihren Erfahrungen mit Cloud Computing befragt. Die Mehrheit der Teilnehmer kennt Cloud Computing aus dem praktischen Unternehmens einsatz und kann daher ein besonders realitätsnahes Bild zeichnen.

Governance-Experten finden sich eher in großen Unternehmen. Durch den Fokus auf diese Experten sind größere Unternehmen in dieser Studie stärker repräsentiert als in anderen Studien. Dementsprechend basiert die Studie auf den neuestenErfahrungen und Erkenntnissen, die Unternehmen mit Cloud Computingsammeln konnten.

Die vorliegende Studie wurde vom ISACA Germany Chapter und PwC gemeinsam erarbeitet. Im Zeitraum Januar bis Februar 2015 wurden 306 Experten von einem unabhängigen Marktforschungsinstitut mittels eines Online-Fragebogens befragt.

Die Daten wurden für übergreifende qualitative Trendaussagen vor allem anhand der folgenden Aspekte analysiert:•Umsatzstärke

Unternehmen mit weltweit weniger als einer Milliarde Euro Jahresumsatz wurden denen mit mehr als einer Milliarde Euro gegenübergestellt. Sie werden in der Studie als „umsatzstärker“ bzw. „Unternehmen mit weniger als einer Milliarde Euro Umsatz“ bezeichnet.

•Mitarbeiteranzahl Unternehmen mit weltweit mehr als 5.000 Mitarbeitern wurden denen gegenüber-gestellt, die weltweit weniger als 5.000 Mitarbeiter beschäftigen. Sie werden in der Studie meist als „kleinere“ respektive „größere“ Unternehmen bezeichnet.

Sofern in den Ergebnisgrafiken nicht anders dargestellt, handelt es sich um Abfragen mit vorgegebenen Antwortmöglichkeiten. Wenn in den Ergebnisgrafiken die Basis nicht explizit angegeben ist, bezieht sich die Darstellung auf alle 306 Teilnehmer. Rundungsbedingt können die angegebenen Summen leicht von 100 Prozent abweichen.

Für die Studie wurden 306 ITGovernanceExperten von einem unabhängigen Marktforschungsinstitut befragt.


Informationen zu den Befragten

C



Alle Befragten gehören dem ISACA Germany Chapter an. Sie sind hauptsächlich Führungs- und Fachkräfte aus den Bereichen Finanzen, Revision und Audit sowie IT und Risikomanagement. Etwa ein Drittel ist als Entscheider bei einem Unternehmen angestellt, zwei Drittel sind als externe Berater tätig und haben damit Einblick in mehrere Unternehmen. Die Studienteilnehmer repräsentieren sowohl den deutschen Mittelstand als auch global agierende Konzerne.

Die Unternehmen, für welche die Teilnehmer tätig sind, agieren überwiegend in den bekannten Branchen. Annähernd die Hälfte dieser Unternehmen repräsentiert den Finanzdienstleistungsbereich sowie den Technologie-, Medien- und Kommunikationssektor. Die Verteilung auf die übrigen Branchen ist in der folgenden Grafik dargestellt (siehe Abbildung 2).

angestellte Führungs kräfte/Entscheider in einem

Unternehmen 61 %

externe Beratungs, Begleit oder Koordinierungs funktion in einem oder mehreren Unternehmen 39 %

Abb. 1 Befragte Personen

Abb. 2 Branchenzugehörigkeit der betrachteten Unternehmen

Finanzsektor 31 %

k. A. 1 %

andere Branche 7 %

Technologien, Medien und Kommunikation

18 %industrielle Produktion 9 %

Handel und Konsumgüter 8 %

Automobilindustrie und Zulieferer 6 %

Energiewirtschaft 4 %

Transport und Logistik 4 %

öffentliche Hand 3 %

Chemie, Pharma, Healthcare 9 %


Etwa sechs von zehn der betrachteten Unternehmen sind weltweit tätig. Bei 13 Prozent der Unternehmen ist die Tätigkeit auf den europäischen Raum beschränkt und bei 27 Prozent auf Deutschland allein. Die weltweit tätigen Unternehmen sind im Vergleich mitarbeiter- und umsatzstärker. Die Studie repräsentiert damit eher große Unternehmen.

weltweit aufgestellt 58 %

europweit aufgestellt 13 %

nur in Deutschland tätig 27 %

Abb. 3 Tätigkeitsregionen der betrachteten Unternehmen


Die Stimmen, die in der Befragung von externen Beratern stammen, beziehen sich häufig auf kleinere Unternehmen. Aus den mitarbeiterstarken Unternehmen mit weltweit mehr als 5.000 Mitarbeitern haben indes häufig angestellte Führungskräfte an der Befragung teilgenommen.

Gut jedes dritte betrachtete Unternehmen erwirtschaftete im Vorjahr allein in Deutschland einen Nettoumsatz von mehr als einer Milliarde Euro. Der Anteil der Unternehmen, die weltweit einen Jahresnettoumsatz von unter 500 Millionen Euro erzielten, betrug nur 16 Prozent.

Cloud Governance in deutschen Unternehmen – eine Standortbestimmung 17

Umsatz in Deutschland

16 % 36 % 8 %

8 %

22 %

50 %16 % 16 %

18 %

10 %Umsatz weltweit

< 500 Mio. Euro

500 Mio. bis unter 1. Mrd. Euro

≥ 1 Mrd. Euro

nicht anwendbar (weil z. B. öffentliche Hand)

nicht bekannt/k. A.

Abb. 5 Jahresnettoumsatz der betrachteten Unternehmen

Abb. 4 Mitarbeiterzahl der betrachteten Unternehmen

< 500 Mitarbeiter

500 bis unter 5.000 Mitarbeiter

≥ 5.000 Mitarbeiter

nicht bekannt/k. A.

Mitarbeiter in Deutschland

42 % 37 %20 %

53 %14 % 31 %Mitarbeiter

weltweit

Studienergebnisse

D


Studienergebnisse

Im folgenden Kapitel sind die wesentlichen Ergebnisse der Befragung in thematisch geordneten Abschnitten dargestellt. Nachfolgend zunächst ein kurzer Überblick über die Abschnitte:

1 Die Bedeutung von Cloud Computing für Unternehmen

Cloud Computing ist in der Unternehmens-IT angekommen. Dieser Abschnitt zeigt, wie sich Unternehmen Cloud Computing nähern und welche Bedeutung sie ihm beimessen. Zudem wird dargestellt, was gegen die Nutzung von Cloud-Services sprechen könnte.

2 Nutzung von Cloud Computing in Unternehmen

Die Gründe für den Einsatz von Cloud Computing unterscheiden sich. Dieser Abschnitt erläutert, welche Gründe für Cloud Computing sprechen und was Unternehmen tun, um davon zu profitieren. Ferner werden die Erfahrungen mit dem Ausstieg aus der Cloud beleuchtet.

3 Beurteilung der Güte von CloudAngeboten

Die in diesem Abschnitt dargestellten Ergebnisse erlauben Rückschlüsse darauf, welche Kriterien die Unternehmen bei der Entscheidung für einen Cloud-Anbieter heranziehen. Zusätzlich wird die Bedeutung von Zertifikaten und Testaten bei der Anbieterauswahl dargestellt.

4 Haltung der Fachabteilungen gegenüber Cloud Computing

Die Abteilungen innerhalb eines Unternehmens verfolgen oftmals unterschiedliche Ziele. Dementsprechend sind sie dem Cloud Computing gegenüber unterschiedlich eingestellt. Dieser Abschnitt zeigt auf, welche Abteilungen eher als Treiber agieren und welche eher skeptisch eingestellt sind.

5 Herausforderungen für die Steuerung der IT

Die moderne IT bedarf aufmerksamer und sorgfältiger Steuerung. Dieser Abschnitt zeigt zum einen, was beim Auswählen von Steuerungsmodellen zu beachten ist, und zum anderen, wie die Unternehmen die Sicherheit von Cloud-Services im Vergleich mit einer on premise IT bewerten.


1 Die Bedeutung von Cloud Computing für Unternehmen

Cloud Computing ist bereits im Alltag der IT-Abteilungen angekommen. Insbesondere die großen, international tätigen Unternehmen nutzen Cloud Computing und profitieren dadurch beispielsweise von den Kostenvorteilen und der ortsunabhängigen Verfügbarkeit von Dokumenten. Auch haben mehr größere Unternehmen bereits eine Cloud-Strategie entwickelt, behandeln das Thema häufiger im Vorstand und messen ihm in der Regel eine höhere Bedeutung bei als kleinere Unternehmen.

Weltweit aufgestellte, größere Unternehmen haben einen etwas höheren Entwicklungs stand erreicht als die europaweit oder ausschließlich in Deutschland tätigen Unternehmen mit weniger als einer Milliarde Euro Umsatz und unter 5.000 Mitarbeitern.

Die kleineren Unternehmen, die weniger Mitarbeiter beschäftigen und nicht global tätig sind, verhalten sich dem Cloud Computing gegenüber insgesamt eher zurückhaltend.

Umgang mit der CloudSieben von zehn befragten Unternehmen nutzen bereits Cloud-Services und etwa 55 Prozent verfügen über eine Cloud-Strategie.

CloudServices werden genutzt

69 %

CloudServices werden nicht genutzt 31 %

Abb. 6 Anteil der Anwenderunternehmen


Es sind vor allem die international agierenden, mitarbeiter- und umsatzstarken Unternehmen, die eine Vorreiterrolle spielen. Acht von zehn umsatzstarken Unternehmen arbeiten bereits mit Cloud-basierten Lösungen; unter den Unternehmen mit weniger als einer Milliarde Euro Umsatz ist es nur jedes zweite. In über der Hälfte aller betrachteten Unternehmen ist Cloud Computing sogar ein Vorstandsthema.

Studienergebnisse

ja 53 %

nein 28 %

nicht bekannt/k. A. 19 %

Abb. 7 Cloud Computing als Vorstandsthema

Gut jedes zweite Unternehmen verfügt über eine Cloud-Strategie, entweder als Teil einer IT-Gesamtstrategie oder als eigenständiges Konzept. Bei den Unternehmen aus dem Technologie-, Medien- und Kommunikationsbereich sowie aus dem Automotive-Sektor sind Unternehmen mit Cloud-Strategie tendenziell etwas häufiger anzutreffen als in den anderen betrachteten Branchen, in denen gut zwei von drei Unternehmen über eine Cloud-Strategie verfügen. Im Finanz-dienstleistungs bereich sowie in der industriellen Produktion finden sich dagegen eher Unternehmen ohne spezielle Cloud-Strategie.

Unternehmen aus den Branchen „Technologie, Medien und Kommunikation“ sowie „Automotive“ haben häufiger eine Cloud-Strategie als Unternehmen anderer Branchen.

Cloud Computing ist bereits im Alltag der IT-Abteilungen

angekommen.

Die weltweit aufgestellten, größeren Unternehmen haben

einen etwas höheren Entwicklungs-stand erreicht.

Ins besondere die international tätigen, großen Unternehmen nutzen Cloud Computing.


Studienergebnisse

Grundsätzlich hat jeder dritte befragte Experte für das von ihm betrachtete Unternehmen bestätigt, dass dem Thema Cloud eine eher hohe Bedeutung zukommt. Für 86 Prozent dieser Unternehmen stellt die Cloud gar ein Vorstandsthema dar.

Abb. 8 Existenz einer Cloud-Strategie im Unternehmen

44 % 37 % 8 %11 %

ja, als dezidierte Strategie

ja, im Rahmen der ITGesamtstrategie

nein

nicht bekannt/k. A.

36 Prozent der Befragten haben Cloud Computing in den ihnen bekannten Unternehmen eine mittlere Bedeutung beigemessen. In diesen Unternehmen ist Cloud Computing nur zu 48 Prozent ein Vorstandsthema.

In 29 Prozent der Unternehmen kommt Cloud Computing nur eine eher geringe Bedeutung zu. Hier sind kleinere Unternehmen überrepräsentiert. Dennoch befasst sich bei immerhin 24 Prozent der kleineren Unternehmen die Geschäftsführung mit dem Thema.

Zwei von drei Unternehmen, in denen Cloud Computing eine eher geringe Bedeutung zukommt, haben auch keine Cloud-Strategie. In der Gruppe der Unternehmen, die dem Thema eine hohe Bedeutung beimessen, verfügen neun von zehn über eine Cloud-Strategie.

Von den 95 Unternehmen, die bisher keine Cloud-Services einsetzen, planen 20, dies in absehbarer Zeit zu tun. Drei dieser Unternehmen möchten das noch innerhalb des nächsten Halbjahres tun. Bei ihnen handelt es sich um kleinere Unternehmen, die ausschließlich auf dem deutschen Markt agieren.

Die Wahrscheinlichkeit, dass ein Unternehmen eine Cloud-Strategie hat, hängt von der Bedeutung ab, die es Cloud Computing beimisst.

Abb. 9 Die Bedeutung von Cloud Computing

36 % 29 %33 %

eher hoch

mittel

eher niedrig

nicht bekannt/k. A.


Studienergebnisse

Bedenken gegenüber der CloudUnter den mitarbeiter- und umsatzstärkeren Unternehmen nutzen nur rund 20 Prozent keine Cloud-Services. Demgegenüber nutzen etwa 50 Prozent der kleineren, auf dem deutschen Markt agierenden Unternehmen mit weniger als einer Milliarde Euro Umsatz und unter 5.000 Mitarbeitern keine Cloud-Services.

Lediglich 20 Unternehmen unter den 95 „Nicht-Nutzern“ planen, in absehbarer Zeit Cloud Computing einzusetzen. Die 56 Unternehmen, die dies explizit nicht planen, begründen dies im Wesentlichen damit, dass die Sicherheit der Unternehmensdaten nicht ausreichend gewährleistet ist und sie die Gefahr sehen, Vorschriften und Gesetze zu verletzen. Ein ebenfalls sehr hoher Anteil dieser Unternehmen sieht in der Nutzung von Cloud-Services keinen Vorteil. Die übrigen Unternehmen haben noch keine finale Entscheidung getroffen.

20 Unternehmen unter den 95 „Nicht-Nutzern“ planen, in absehbarer Zeit Cloud Computing einzusetzen.

Abb. 10 Planung der Cloud-Nutzung in absehbarer Zeit

Unternehmen, die bisher keine CloudLösungen

nutzen, n = 9559 % 20 %3 18 %

ja, innerhalb der nächsten 6 Monate

ja, aber später als in einem halben Jahr

nein

nicht bekannt/k. A.


Cloudspezifischer Entwicklungsstand versus Bedeutung von Cloud ComputingDie Befragten haben eingeschätzt, wie weit die Kenntnisse über Cloud Computing in den ihnen bekannten Unternehmen ausgebildet sind. Die Skala reichte hierbei von 1 (sehr niedrig) bis 10 (sehr hoch).

Durchschnittlich wird von den betrachteten Unternehmen auf der 10er-Skala ein Wert von 4,7 vergeben. Dieser Wert liegt knapp einen Wertpunkt unter dem theoretischen Mittelwert der Skala von 5,5. Deutlich wird, dass die weltweit aufgestellten, größeren Unternehmen mit 5,2 einen etwas höheren Entwicklungsstand aufweisen als die europaweit (4,3) oder ausschließlich in Deutschland tätigen, kleineren Unternehmen (3,8).

Beim Entwicklungsstand hinsichtlich Cloud Computing haben insbesondere die kleineren Unternehmen noch Potenzial.

Studienergebnisse

Mit Cloud Computing selbst scheint sich der Großteil der Unternehmen inzwischen schon hinreichend beschäftigt zu haben – auch wenn die Entscheidung letztlich gegen die Cloud fällt. Vier von fünf Unternehmen, die momentan keine Cloud-Services nutzen und eine Nutzung in absehbarer Zeit auch nicht beabsichtigen, haben diese Entscheidung bewusst getroffen.

Acht von zehn Unternehmen, die Cloud Computing für sich ausschließen, tun dies, weil sie die Sicherheit ihrer Unternehmensdaten nicht ausreichend gewährleistet sehen. Eine nur untergeordnete Rolle bei der Entscheidung gegen die Cloud spielen die Unübersichtlichkeit des Marktes und ein erwarteter hoher Integrationsaufwand.

Das wichtigste Ausschluss-kriterium ist der Zweifel an der Informationssicherheit.

Abb. 11 Gründe gegen die Nutzung von Cloud Computing

34 %

32 %

18 %

84 %

77 %

54 %

Markt ist derzeit zu unüber sichtlich, um eine Entscheidung treffen zu

können

zu hoher Aufwand für Integration von CloudServices in die eigene

ITLandschaft

noch keine Beschäftigung mit dem Thema Cloud für das Unternehmen

Sicherheit der Unternehmens daten ist in der Cloud nicht ausreichend

gewährleistet

Gefahr, durch die Nutzung von Cloud Services Vorschriften und Gesetzte zu

verletzen (ComplianceVerstöße)

sehen für unser Unternehmen keinen Vorteil im Einsatz von Cloud

Computing

n = 56trifft (eher) zu: Wertpunkte 7–10 auf der 10erSkala


Der Entwicklungsstand steht nicht nur in engem Zusammenhang mit der Größe und Internationalität des Unternehmens oder der Frage, ob es eine Cloud-Strategie verfolgt. Er korrespondiert vor allem auch mit der Haltung des Unternehmens gegenüber Cloud Computing.

Grundsätzlich hat jeder dritte befragte Experte angegeben, dass dem Cloud Computing eine eher hohe oder sehr hohe Bedeutung im Unternehmen zukommt und die Wertpunkte 8, 9 oder 10 vergeben. Bei 86 Prozent dieser Unternehmen ist Cloud Computing auch ein Vorstandsthema.

Die Unternehmen haben das Potenzial erkannt: Je wichtiger Cloud Computing eingeschätzt wird, desto stärker befasst sich der Vorstand mit dem Thema.

Studienergebnisse

8 von 10Unternehmen, die Cloud Computing für sich aus schließen, tun dies, weil sie die Sicherheit ihrer Unter-nehmens daten nicht ausreichend gewährleistet sehen.

Abb. 12 Entwicklungsstand der Unternehmen hinsichtlich Cloud Computing

33 % 46 %20 %

sehr/eher hoch (Wertpunkte 10–8 auf der 10erSkala)

mittel (7–4 auf der 10erSkala)

sehr/eher niedrig (1–3 auf der 10erSkala)

nicht bekannt/k. A.


Studienergebnisse

36 Prozent der Befragten haben Werte zwischen 4 und 7 vergeben und Cloud Computing in den ihnen bekannten Unternehmen eine mittlere Bedeutung zugewiesen. Nur bei 48 Prozent dieser Unternehmen ist Cloud Computing auch ein Vorstandsthema.

Immerhin 29 Prozent haben mit dem Vergeben von Werten zwischen 1 und 3 dokumentiert, dass dem Cloud Computing nur eine niedrige oder sehr niedrige Bedeutung zukommt. Lediglich bei 24 Prozent dieser Unternehmen ist Cloud Computing auch ein Vorstandsthema – wobei in dieser Gruppe kleinere Unternehmen über repräsentiert sind, bei denen sich der Vorstand meist einer recht großen Spann weite an Themen gegenübersieht.

Es besteht ein enger Zusammenhang zwischen der Bedeutung, die dem Cloud Computing im Unternehmen beigemessen wird, und dem individuellen Entwicklungs stand: So ist festzustellen, dass 54 Prozent der Unternehmen, in denen Cloud Computing als wichtiges Thema gilt, einen eher hohen oder sehr hohen Entwicklungs stand hinsichtlich dieses Themas aufweisen.

2 Nutzung von Cloud Computing in Unternehmen

Für die Befragten bietet Cloud Computing vor allem finanzielle Vorteile. Diese beziehen sich zum einen auf die möglichen Kosteneinsparungen während der Nutzung, zum anderen auf die fehlende Notwendigkeit, hohe Vorabinvestitionen zu tätigen. Auch die schnellere Umsetzung von Anforderungen und kürzere IT-Projekt laufzeiten betrachten die Befragten als positive Effekte. Viele Befragte sahen es zudem als vorteilhaft an, dass Cloud-Services auftretende Lastspitzen abfedern können und ein ortsunabhängiges Zugreifen auf Dokumente ermöglichen. Die Bedeutung dieser Treiber ist in internationalen Großunternehmen meist größer als in kleineren Unternehmen.

Abb. 13 Dem Cloud Computing zugeschriebene Bedeutung

sehr/eher hoch (Wertpunkte 10–8 auf der 10erSkala)

mittel (7–4 auf der 10erSkala)

sehr/eher niedrig (1–3 auf der 10erSkala)

nicht bekannt/k. A.

36 % 29%33 %


Studienergebnisse

Aus Sicht vieler Entscheider sprechen insbesondere die potenziellen Sicherheits-risiken gegen eine Nutzung von Cloud Computing. Die Mehrzahl der Befragten glaubt, dass präventive und reaktive Maßnahmen gegen (mögliche) Sicherheits-vorfälle mit einer konventionellen on premise IT besser umgesetzt werden können, als in der Cloud. Konkretisiert man jedoch die Maßnahmen auf der technischen Ebene, dann ist schon jeder zweite Befragte bereit, Cloud Computing zu nutzen. Der entscheidende Punkt ist offenbar, dass durch technische Maßnahmen eine Kontrolle der Daten durch die Unternehmen sichergestellt sein muss. Jeder vierte Befragte erwartet durch die Cloud-Nutzung sogar eine verbesserte Informationssicherheit. Auch hat die persönliche Erfahrung mit Cloud Computing Einfluss darauf, wie das Thema im Unternehmen gesehen wird. Die Cloud Computing-erfahrenen Befragten bewerten die Cloud positiver als diejenigen, die keine Erfahrung damit haben.

Abb. 14 Erwartete Vorteile durch Cloud Computing

(Darstellung Anteile für Wertpunkte 10–7 „eher wichtig“ auf der 10erSkala)

Kosteneinsparung

keine hohen Vorabinvestitionen

bessere TimetoMarket

Flexibilität und Skalierbarkeit

PayperUsePrinzip

verbesserte Verfügbarkeit

passgenauere Unterstützung von neuen und innovativen

Geschäfts modellen

Unabhängigkeit von unternehmens eigenen

ITRessourcen

mehr Kosten transparenz

Professionalisierung der eigenen UnternehmensIT

größere Benutzerfreundlichkeit

erhöhte Informationssicherheit

67 %

57 %

56 %

55 %

54 %

49 %

48 %

48 %

44 %

38 %

29 %

23 %


Argumente für die CloudEin Großteil der Befragten erwartet von der Nutzung von Cloud-Services zahlreiche Vorteile. Meist geht es dabei um unterschiedliche Ansatzpunkte für Kosteneinsparungen.

Neben der Kostenersparnis im IT-Betrieb sehen die Befragten weitere wichtige Argumente für die Cloud-Nutzung: Das Fehlen von Vorabinvestitionen in teure Infrastruktur und eine dadurch geringere Kapitalbindung ist für die Teilnehmer der zweitwichtigste Vorteil. Als beinahe gleich wichtig werden die schnellere Umsetzung von Anforderungen und kürzere IT-Projektlaufzeiten (bessere Time-to-Market) betrachtet. Der viertwichtigste Vorteil ist, dass Lastspitzen oder saison- und konjunkturabhängige Geschäftsentwicklungen durch Cloud-Services abgefedert werden können (Skalierbarkeit).

Das Pay-per-Use-Prinzip bietet eine höhere Kostentransparenz, da klar dokumentiert wird, was tatsächlich verbraucht wurde: 44 Prozent schätzen diese Kosten-transparenz als „eher wichtig“ bis „wichtig“ ein. Größere und international agierende Unternehmen schätzen die Kostentransparenz als wichtiger ein als kleinere Unternehmen.

In jedem zweiten Unternehmen gilt die verbesserte Verfügbarkeit von Daten – also der ortsunabhängige, unmittelbare, weltweite Zugriff darauf – als Grund für die Nutzung von Cloud Computing. Für knapp jedes vierte Unternehmen ist eine erhöhte Informationssicherheit ein Argument für die Nutzung Cloud-basierter Lösungen. Das ist bemerkenswert, da die Informationssicherheit von vielen auch als Argument gegen die Nutzung von Cloud-Services verwendet wird. Der Vorteil einer erhöhten Informationssicherheit wird in der Tendenz von den kleineren Unternehmen mit weniger als 5.000 Mitarbeitern als wichtiger eingeschätzt als von den mitarbeiterstärkeren Großunternehmen.

Das Nutzen von Cloud-Services ermöglicht es den Unternehmen, frei werdende finanzielle Ressourcen in das Kern geschäft zu investieren.

Kleinere und mittlere Unternehmen können durch den Einsatz von Cloud-Services ihre Informationssicherheit kostengünstig und ohne umfangreiches Erweitern des IT-Stabes verbessern.

Studienergebnisse

6,3 6,6

5,6

5,9 6,2

5,2

7,2 7,6

6,3

6,8 7,0

6,2

6,6 7,0

5,7

PayperUsePrinzip

mehr Kosten

tranzparenz

Kosteneinsparungen

keine hohen Vorab

investitionen

bessere Time to Market

total international aufgestellt nur in D tätig

Abb. 15 Bedeutung der Vorteile von Cloud Computing

Mittelwertsdarstellung für die 10er Skala


Studienergebnisse

Global agierende Unternehmen mit weltweit mindestens 5.000 Mitarbeitern und über einer Milliarde Euro Umsatz, bewerten die Kostenersparnis, die Kosten-transparenz, das Pay-per-Use-Prinzip sowie die bessere Time-to-Market als für sie bedeutender als die kleineren und nur in Deutschland tätigen Unternehmen.

Für Unternehmen, die bereits Cloud-Services nutzen, ist deren Flexibilität und Skalierbarkeit wichtiger als für solche Unternehmen, die bislang weder Cloud-Services nutzen noch dies für die Zukunft planen.

Jedes zweite Unternehmen sieht auch in der passgenaueren Unterstützung neuer und innovativer Geschäftsmodelle sowie in den besseren Umsetzungs möglichkeiten für neue oder veränderte Prozesse ein wesentliches Argument für den Einsatz von Cloud-Services. Eine größere Benutzerfreundlichkeit wird indes nur von 29 Prozent der Unternehmen erwartet.

Einsatz von CloudServicesIm Durchschnitt nutzen die betrachteten Unternehmen Cloud-Services bereits in folgenden Ausprägungen: Software as a Service (SaaS), Infrastructure as a Service (IaaS), Platform as a Service (PaaS), Business Process as a Service (BPaaS). Zudem bezogen sie Cloud-spezifische Beratungsleistungen. Darüber hinaus ist durchschnittlich pro Unternehmen jeweils der Einsatz einer weiteren Anwendungs-art geplant. Die am meisten verbreitete Serviceform ist SaaS, gefolgt von IaaS. Es fällt auf, dass Unternehmen sämtliche Serviceformen intensiver nutzen, wenn sie eine definierte Cloud Strategie besitzen. BPaaS wird derzeit noch eher selten genutzt, da aktuell nur recht wenige durchgängige Geschäftsprozesse in der Cloud angeboten werden. Die Attraktivität von BPaaS für Fachabteilungen wie etwa das Marketing ist jedoch hoch.


Studienergebnisse

Die Erfahrungen mit den verschiedenen Serviceformen sind überwiegend positiv ausgefallen. Vergleichsweise positive Erfahrungen haben die Unternehmen mit PaaS, IaaS und SaaS gemacht. Bezüglich BPaaS liegen aktuell die wenigsten Erfahrungen vor, die zudem etwas schlechter ausfallen.

Es besteht ein enger Zusammenhang zwischen der Nutzungsintensität der Serviceformen und der Bedeutung, die dem Cloud Computing innerhalb des Unternehmens zugeschrieben wird. Wenn der Cloud im Unternehmen eine sehr hohe oder eher hohe Bedeutung zukommt, werden alle fünf Serviceformen wesentlich stärker genutzt, als in den Unternehmen, in denen das Thema Cloud weniger bedeutend ist.

Abb. 16 Nutzung von Cloud-Services pro Serviceform

ja, bereits genutzt

ja, geplant

nein

nicht bekannt/k. A.

IaaS 15 % 22 % 10 %53 %

SaaS 20 % 7 %7 %66 %

PaaS 20 % 22 % 14 %44 %

BpaaS

Beratungsleistungen rund um Cloud Computing

37 % 30 %19 % 14 %

14 % 27 % 18 %41 %

Abb. 17 Erfahrung mit unterschiedlichen Serviceformen

sehr positiv

eher positiv

eher negativ

sehr negativ

nicht bekannt/k. A.

Erfahrungen mit IaaS, n = 122

Erfahrungen mit SaaS, n = 152

Erfahrungen mit PaaS, n = 101

Erfahrungen mit BPaaS, n = 44

Erfahrungen mit Beratungsleistungen zur Cloud, n = 94

10 %

16 %

11 %

11 %

10 %

11 %

30 %

19 %

8 %

11 %

12 %

9 %

16 %

20 %

12 %

67 %

45 %

54 %

59 %

67 %


Studienergebnisse

39 Prozent der Unternehmen arbeiten überwiegend oder ausschließlich mit Individualverträgen. Ein knappes Drittel greift dagegen überwiegend oder ausschließlich auf standardisierte Serviceverträge zurück. Haben Unternehmen eine Cloud-Strategie definiert, setzen sie vermehrt auf Standardverträge; dies gilt für 53 Prozent der Befragten mit einer Cloud-Strategie.

Die meisten Befragten haben bereits Erfahrungen mit den Sicherheitsvorkehrungen sowie der Transparenz und Aussagekraft der Angebote unterschiedlicher Cloud-Anbieter gemacht. Lediglich 18 Prozent gaben an, die Angebotstransparenz und Sicherheits vorkehrungen nicht einschätzen zu können, weil ihnen diesbezügliche Erfahrungen fehlen.

Drei von vier Befragten verfügen über Erfahrungen mit Private Clouds. Diese fallen vorwiegend positiv aus. Zwei von drei Befragten erklären, sie hätten persönlich bereits Erfahrungen mit Public Clouds gemacht. Jeder Dritte hat mit ihnen jedoch eher negative Erfahrungen gemacht.

CloudServices

Die besten Erfahrungen haben die Unternehmen mit IaaS und SaaS gemacht. Bezüglich BPaaS liegen im Vergleich momentan die wenigsten Erfahrungen vor.

Abb. 18 Verhältnis von individuellen und standardisierten Serviceverträgen

etwa gleichermaßen Individual und Standardverträge

17 %

überwiegend Standardverträge 23 %


überwiegend Individualverträge

27 %

(fast) ausschließlich Individualverträge

12 %(fast) ausschließlich Standard verträge 7 %


Recht positiv gestaltet sich das Erfahrungsbild bei Hybrid Clouds und Community Clouds. Allerdings ist davon auszugehen, dass es bei diesen Angebotsformen noch keinen vergleichbar breiten Erfahrungsschatz gibt: Nicht einmal ein Viertel der Befragten hat persönliche Erfahrungen mit diesen beiden Angebotsformen.

Die meisten und positivsten Erfahrungen liegen mit Private Clouds vor.

Studienergebnisse

Abb. 19 Vorhandene persönliche Erfahrungen mit unterschiedlichen Angebotsformen

Public Clouds

Private Clouds

Community Clouds

Hybrid Clouds

keine Erfahrung/k. A.

61 %

73 %

21 % 23 %18 %

Abb. 20 Positiv- und Negativerfahrungen mit unterschiedlichen Angebotsformen

sehr positiv

eher positiv

eher negativ

sehr negativ

nicht bekannt/k. A.

Erfahrungen mit Public Clouds, n = 185

Erfahrungen mit Private Clouds, n = 224

Erfahrungen mit Hybrid Clouds, n = 70

Erfahrungen mit Community Clouds, n = 65

23 % 9 %6 62 %

26 % 56 63 %

9 % 316 % 71 %

29 % 56 57 % 3


Studienergebnisse

Das etwas negativere Erfahrungsbild der Experten hinsichtlich der Public Cloud-Services korrespondiert mit der skeptischen Einstellung zum Speichern von Unternehmens daten in der Public Cloud: 42 Prozent der Experten halten es generell nicht für vertretbar, wenn das von ihnen betrachtete Unternehmen Daten in einer Public Cloud ablegt. Diese Experten sprachen zudem vornehmlich für Unternehmen mit mehr als einer Milliarde Euro Umsatz weltweit. In weniger umsatzstarken Unternehmen wird das Speichern von Daten in der Cloud dagegen weniger skeptisch betrachtet.

Für rund 90 Prozent der Unternehmen, die eine Datenspeicherung in der Public Cloud nicht grundsätzlich ausschließen, lautet die Vorbedingung, dass die Daten verschlüsselt werden und das Schlüsselmaterial unter eigener Kontrolle verbleibt. Beinahe ebenso wichtig ist, dass die genutzten Server in Deutschland oder der EU stehen (rund 80 Prozent). Mehr als die Hälfte dieser Unternehmen setzt zudem voraus, dass der Cloud-Anbieter ihre Compliance gewährleisten kann.

Beim Public Cloud Computing wird die Möglichkeit der Verschlüsselung und die Hoheit über die verwendeten Schlüssel als noch wichtiger eingeschätzt, als der Standort des Servers.

Abb. 21 Haltung zur Speicherung von Unternehmensdaten in der Public Cloud

ja, unter bestimmten Umständen

57 %

generell nein 42 %


Abb. 22 Umstände, unter denen die Speicherung von Unternehmensdaten in der Public Cloud denkbar ist

90 %ja, wenn das Schlüssel

material unter der Kontrolle des Unternehmens verbleibt

80 %ja, wenn der Server in

Deutschland bzw. der EU steht

65 %ja, wenn die Compliance

nachgewiesen ist


Studienergebnisse

Erfahrungen mit dem Ausstieg aus der CloudNur jedes zehnte Unternehmen, das Cloud-Services nutzt, hat schon einmal die Nutzung beendet oder befindet sich momentan in der Ausstiegsphase.

ja 10 %

nein 59 %


Abb. 23 Erfahrungen mit dem Ausstieg aus der Cloud

Für die 24 Unternehmen, die die Nutzung von Cloud-Services schon einmal beendet haben, gab es zwei Hauptgründe für den Ausstieg: Der Anbieter oder dessen Service konnte die Ziele und Erwartungen nicht erfüllen oder die Kosten für den Cloud-Service waren gestiegen. In einem Fall hat der Anbieter den Cloud-Service eingestellt.

Die Erfahrungen mit dem Ausstieg sind gemischt: In zehn Fällen verlief der Exit unkompliziert, doch sieben Unternehmen hatten in dieser Phase Schwierigkeiten. In weiteren sieben Fällen konnten die befragten Experten nicht beurteilen, inwiefern der Ausstieg problemlos verlaufen ist oder noch nicht angeben, wie sich der Prozess letztendlich darstellen wird.

3 Beurteilung der Güte von Cloud-Angeboten

Bei den zentralen Auswahlkriterien gibt es wenig Unterschiede zu anderen Studien der letzten Jahre. Nach wie vor führen die Aspekte Datenschutz und Informationssicherheit sowie Compliance die Rangliste an. Hinzugekommen ist jedoch der Standort der Datenspeicherung und -verarbeitung. Dies deutet darauf hin, dass die Cloud-Nutzer sensibilisiert sind und Wert darauf legen, dass ihr Cloud-Anbieter aufgrund seines geografischen Standorts einem bestimmten Rechtsrahmen unterliegt. Dies könnte eine Folge der weltweiten Aktivitäten der großen Nachrichtendienste sein. Aus dem gleichen Grund hat vermutlich auch die Bedeutung Cloud-spezifischer Standards und Zertifikate zugenommen.

Kriterien für die Auswahl von CloudAnbieternBei der Auswahl eines Cloud-Service oder Cloud-Anbieters gibt es aus Sicht der Befragten drei Hauptkriterien: An erster Stelle stehen die vom Anbieter eingesetzten Sicherheitsverfahren für die Daten- bzw. Informationssicherheit. Weiterhin geht es um die Berücksichtigung der für den Nutzer bestehenden Compliance-Anforderungen (z. B. Datenschutz, Gesetze, Branchenauflagen). Auch spielt der Standort der Datenspeicherung und -verarbeitung eine wichtige Rolle: Der Server sollte sich in Deutschland oder der EU befinden.

Das Business Continuity-Konzept sollte stets eine Exit-Strategie beinhalten. Bisher gibt es jedoch noch recht wenige Erfahrungen mit dem Ausstieg aus der Cloud.

Die wichtigsten Auswahl-kriterien sind die Informations-sicherheit, die Compliance und der Server standort.


Studienergebnisse

Abb. 24 Bedeutung von Kriterien bei der Auswahl von Cloud-Services und Cloud-Anbietern

(Darstellung Anteile für Wertpunkte 10–7 „eher wichtig“ auf der 10erSkala)

Daten und Informationssicherheit

Berücksichtigung der Compliance

Anforderungen

Standort der Datenspeicherung

und ver arbeitung

Image des Anbieters, Vertrauenswürdigkeit

zertifizierung des Anbieters durch Dritte

Möglichkeiten zur Vornahme eigener Audits

Skalierbarbeit der CloudLösung

Firmensitz des Abieters

flexible, verbrauchsgerechte

Preismodelle

Flexibilität in der Vertragsgestaltung, ExitMöglichkeiten

Finanzstärke des Anbieters

91 %

89 %

85 %

78 %

73 %

72 %

72 %

64 %

61 %

61 %

58 %

Größe des Anbieters 50 %

Empfehlung des Anbieters durch Dritte,

Erfahrungsberichte42 %

Bewertung des Anbieters durch einschlägige

Scoring/Ratingfirmen37 %

unternehmerische soziale Verantwortung des

Anbieters (CSR)28 %


Als weitere wichtige Kriterien gelten das Image des Cloud-Anbieters und damit seine Vertrauenswürdigkeit. Acht von zehn Befragten halten dies für eher wichtig, wohingegen die Größe eines Cloud-Anbieters nur für jedes zweite Unternehmen eine entscheidende Rolle spielt.

Neben dem Image des Cloud-Anbieters stellen Zertifizierungen durch Dritte, die Möglichkeit zur Durchführung eigener Audits sowie die Skalierbarkeit des Cloud-Services aus Kundensicht ebenfalls wichtige Kriterien dar.

Dass trotz der Vielfalt der Anforderungen an die Cloud-Anbieter die Handlungs-felder Compliance und Prüfbarkeit einen besonderen Stellenwert einnehmen, erklärt sich auch aus der Beschaffenheit der Zielgruppe unserer Untersuchung. Die Antworten der Befragten machen jedoch deutlich, dass Erfahrungsberichte oder die Empfehlung des Anbieters durch Dritte sowie seine Bewertung durch einschlägige Scoring- oder Ratingunternehmen als weniger wichtig empfunden werden. Aus Sicht der befragten ISACA-Experten kommt es offenbar wesentlich auf das zertifizierende Unternehmen und auf die Qualität des Prüfverfahrens an. Daher stufen sie eine Zertifizierung als wesentlich höheres Qualitätsmerkmal ein als allgemeine Empfehlungen durch Dritte oder durch Scorings und Ratingfirmen.

Jeweils sechs von zehn Befragten halten die Flexibilität für vergleichsweise wichtig – sowohl hinsichtlich der Vertragsgestaltung (z. B. Exit-Möglichkeiten) als auch der Preismodelle, die verbrauchsgerecht ausgestaltet sein müssen. Flexibilität hinsichtlich der Exit-Möglichkeiten ist den Unternehmen, die schon Ausstiegs-erfahrungen gesammelt haben, etwas wichtiger als denen, die die Nutzung eines Cloud-Services noch nie beendet haben.

Ähnlich wichtig sind den Befragten auch die Angaben zum Unternehmenssitz und zur Finanzstärke des Cloud-Anbieters, die einen Hinweis auf seine Stabilität als Unternehmen geben. Beide Kriterien hängen auch mit dem Image und der Vertrauenswürdigkeit zusammen. Die Vertrauenswürdigkeit basiert zudem auf der nachprüfbaren Einhaltung der Compliance-Anforderungen und der eingesetzten Sicherheitsverfahren zur Gewährleistung der Daten- und Informationssicherheit.

Bedeutung von Zertifikaten bei der Auswahl von CloudAnbieternAuf die Frage, welchen Standards ein Cloud-Anbieter genügen und welche Zertifizierungen er vorweisen sollte, wurden vor allem ISO/IEC-Zertifizierungen angegeben:• ISO/IEC 27001• ITIL bzw. ISO/IEC 20000

Diese Standards bzw. Rahmenwerke gehören derzeit zu den Bekanntesten, sind jedoch nicht spezifisch auf Cloud Computing ausgerichtet. Anders der neue, zertifizierbare Standard ISO/IEC 27018:2014. Er definiert die Verpflichtungen des Anbieters gegenüber dem Kunden hinsichtlich der Einhaltung von Datenschutz-anforderungen.

Noch in diesem Jahr soll mit ISO/IEC 27017:2015 auch eine Erweiterung des ISO Frameworks veröffentlicht werden, die sich explizit dem Thema Sicherheits-management bei Cloud Computing widmet.

Auch bei Cloud Computing setzen die Unternehmen auf ISO/IEC 27001.

Studienergebnisse


Die ISO/IEC 27000-Reihe ist für die auf Deutschland fokussierten Unternehmen mit weniger als einer Milliarde Euro Umsatz wichtiger als für die umsatzstärkeren und weltweit tätigen Firmen.

Der Standard ISO/IEC 20000 hingegen spielt eher in den weltweit agierenden Großunternehmen mit mehr als 5.000 Mitarbeitern eine Rolle. Er ist für die Unternehmen, die eine Cloud-Strategie verfolgen, mit 60 Prozent relevanter als für die Firmen ohne Cloud-Strategie (46 Prozent).

Ebenfalls relativ weit verbreitet sind die ISACA-Frameworks wie etwa COBIT 5, IT Control Objectives for Cloud Computing und Security Considerations for Cloud Computing. Sie spielen für die Unternehmen mit weniger als einer Milliarde Euro Umsatz eine größere Rolle als für ihre umsatzstärkeren Mitbewerber.

Studienergebnisse

Abb. 25 Relevante Standards und Zertifikate bei der Auswahl von Cloud-Anbietern

36 %CSA

31 %PCI

30 %IAASB

27 %BITKOMLeitfäden

21 %AICPA, SOC

Reports

8 %ODCA

11 %andere Standards

und Zertifikate

9 %nicht bekannt/

k. A.

47 %COBIT

54 %ITIL bzw. ISO/

IEC 20000

82 %ISO/IEC 2700x


Studienergebnisse

Insgesamt wurden von den vorgegebenen zehn Möglichkeiten pro Unternehmen durchschnittlich 3,5 relevante Standards oder Zertifikate benannt.

Darüber hinaus haben die Befragten noch Folgendes genannt: IDW PS 951, BSI IT-Grundschutz, Datenschutzzertifizierung wie TÜV oder WP, IDW PS 880, Orientierungshilfe Cloud Computing 2014, ISAE 3402 (vormals SAS 70), cGMP sowie HIPAA.

Mit den folgenden Standards haben die Befragten noch keine oder nur wenige Erfahrungen sammeln können: • ODCA, Open Data Center Usage Models zu Cloud Computing: Gut jedes dritte

befragte ISACA-Mitglied (35 Prozent) hat keine Erfahrungen damit.• AICPA Service Organization Control (SOC) Reports: SOC-1/SOC-2: Knapp jedes

dritte befragte ISACA-Mitglied (31 Prozent) hat keine Erfahrungen damit.• CSA: Standards und Empfehlungen, bspw. Cloud Controls Matrix, Security

Guidance for Critical Areas of Focus in Cloud Computing: Jedes vierte befragte ISACA-Mitglied (25 Prozent) hat keine Erfahrungen damit.

• IAASB: ISAE 3402 – Assurance Reports on Controls at a Service Organization: Knapp jedes vierte befragte ISACA-Mitglied (24 Prozent) hat keine Erfahrungen damit.

Der PCI-Standard, die AICPA SOC-Reports sowie die Standards und Empfehlungen der CSA spielen in den weltweit tätigen und mitarbeiter- und umsatzstärkeren Unternehmen eine größere Rolle als in den kleineren Unternehmen, die ausschließlich innerhalb Europas oder Deutschlands agieren.

4 Haltung der Fachabteilungen gegenüber Cloud Computing

Zwei Faktoren bestimmen die Haltung gegenüber Cloud Computing: die erzielbaren Vorteile und die Sicherheitsbedenken. Vor allem die nach extern orientierten Mitarbeiter scheinen Cloud Computing zu begrüßen. Dies ist nachvollziehbar, da insbesondere die Abteilungen Marketing und Vertrieb sowie die Geschäftsleitung durch mobiles und vernetztes Arbeiten Effizienzgewinne erzielen können. Demzufolge profitieren sie stark von einfach zu bedienenden sowie flexiblen IT-Lösungen, die das Zusammenarbeiten mit internen und externen Stakeholdern ermöglichen.

Auffällig ist, dass die IT-Abteilungen in Befürworter und Skeptiker unterteilt sind. Es ist davon auszugehen, dass die Befürworter aus der Perspektive der technischen Weiterentwicklung auf Cloud Computing schauen, während die Skeptiker eher die bereits vorhandene IT-Landschaft bewahren wollen. Auch in der Geschäftsführung und den einzelnen Produktions- oder Fachbereichen ist das Verhältnis von Befürwortern und Skeptikern in etwa ausgeglichen.

Die Bedeutung Cloud-spezifischer Standards und Zertifikate nimmt zu.


Studienergebnisse

Abb. 26 Haltungen zu Cloud Computing1

eher dafür neutral eher dagegen

Marketing/Vertrieb 446 %

42 %

35 %

33 %

25 %

24 %

22 %

7 %

3

3

21 %

22 %

28 %

31 %

32 %

27 %

28 %

30 %

30 %

27 %

19 %

23 %

31 %

28 %

14 %

11 %

7 %

3

11 %

53 %

38 %

42 %

32 %

54 %

32 %

ITBetrieb

Geschäftsführung

einzelne Produktions/Fach bereiche

Sourcing/Einkauf

Lieferanten

Kunden

ITSicherheit, Compliance

interne Revision

Risikomanagement

Betriebsrat

Daten schutzbeauftragter

Rechtsabteilung

1 Zu der Summe von 100 % fehlende Prozentpunkte bedingt durch Aussagen „nicht bekannt/k. A.“ und „Stakeholder nicht vorhanden“.


In den Unternehmen, in denen die Geschäftsführung gegenüber Cloud Computing positiv eingestellt ist, ist es meist auch ein Vorstandsthema (91 Prozent). Hier gibt es in acht von zehn Unternehmen auch eine Cloud-Strategie und dem Cloud Computing wird generell eine recht hohe Bedeutung beigemessen (Mittelwert von 7,8 auf der 10er-Skala).

Eine neutrale Haltung scheinen die folgenden Unternehmensbereiche einzu-nehmen: Finanzen, Sourcing/Einkauf sowie Personal. Allerdings fällt in diesen drei Bereichen auch der Anteil der Nennungen „nicht bekannt/keine Angabe“ mit 33 Prozent, 29 Prozent sowie 32 Prozent vergleichsweise hoch aus. Das deutet darauf hin, dass diese Abteilungen weniger stark in derartige Entscheidungen involviert sind und daher eher eine neutrale Haltung einnehmen.

Studienergebnisse

BefürworterDer Nutzung von Cloud-Services stehen in den Unternehmen zwei Bereiche sehr offen gegenüber: Zum einen die Marketing- und Vertriebsabteilungen, von denen 46 Prozent die Nutzung von Cloud Computing begrüßen. Zum anderen der IT-Betrieb, der sich mit 42 Prozent ebenfalls sehr eindeutig positioniert hat.

In den mitarbeiter- und umsatzstärkeren Unternehmen mit weltweitem Tätigkeits-bereich sind die Geschäftsführungen, einzelne Produktions- und Fachbereiche sowie die Marketing- und Vertriebsabteilungen wesentlich stärkere Treiber als in den kleineren und weniger internationalisierten Unternehmen. Die Treiberfunktion des IT-Betriebs indes ist unabhängig von der Unternehmensgröße und -aufstellung.

Es besteht das Risiko, dass die Fachabteilungen Cloud-Services nutzen, ohne sich mit der internen IT abzustimmen.

Abb. 27 Haupttreiber von Cloud Computing

46 %

42 %

Marketing/Vertrieb

ITBetrieb

33 %einzelne

Produktions und Fachbereiche

35 %Geschäfts

leitungen

Darstellung ab einem Anteil der Nennungen von über 30 %

SkeptikerAm skeptischsten gegenüber Cloud Computing sind die Beauftragten für Daten-schutz sowie IT-Sicherheit und Compliance. Mit einigem Abstand folgen die Verantwortlichen des Risikomanagements, die Interne Revision sowie die Rechts-abteilungen.

In den Unternehmen mit weltweit weniger als 5.000 Mitarbeitern ist der Anteil der Cloud-Skeptiker im Risikomanagement höher als in den größeren Unternehmen („eher dagegen“ sind 48 versus 38 Prozent), obwohl es hier häufiger (11 Prozent) als in den größeren Unternehmen (3 Prozent) gar keine Risikomanagementabteilung gibt.

Diese Verteilung zeigt sich auch hinsichtlich der Datenschutzbeauftragten: In den größeren Unternehmen mit wenigstens 5.000 Mitarbeitern weltweit ist gerade einmal jeder zweite Datenschutz beauftragte (49 Prozent) gegen die Nutzung von Cloud Computing, in den kleineren Unternehmen sind es 60 Prozent.

Bedenken hinsichtlich Sicherheit und Daten schutz stellen in manchen Unter nehmen derzeit noch Hemm schwellen dar.

Studienergebnisse

„Bei einem tieferen Bohren mit den Sicherheitsspezialisten der Anbieter bekommt man keine oder nur ernüchternde Auskünfte zu den Sicherheitsmaßnahmen.“

Teilnehmerzitat

Abb. 28 Cloud-Computing-Skeptiker

32 %Betriebsrat

32 %Rechtsabteilung

54 %Datenschutzbeauftragter

42 %Risiko

management

53 %ITSicherheit,

Compliance

38 %interne Revision

Darstellung ab einem Anteil der Nennungen von 30 %

In etwa jedem dritten Unternehmen stellt sich der Betriebsrat eher gegen Cloud-basierte Lösungen. Deutlich wird jedoch, dass sich die Betriebsräte zu einem hohen Anteil neutral verhalten. Fast die Hälfte von ihnen scheint sich nicht klar positioniert zu haben und antwortet auf diese Frage mit „keine Angabe“ oder „nicht bekannt“ (47 Prozent).



Studienergebnisse

Unter den IT-Governance-Modellen, nach denen die Unternehmens-IT gesteuert wird, sind ITIL, ISO 20000 und ISO/IEC 2700x am stärksten verbreitet.

5 Herausforderungen für die Steuerung der IT

Bei der Steuerung von Cloud Computing bestehen noch immer große Heraus-forderungen. Obwohl drei von vier Unternehmen etablierte Steuerungs modelle (z. B. ITIL, ISO 20000 etc.) nutzen und mit diesen mehrheitlich zufrieden sind, bieten diese offensichtlich noch nicht genügend Unterstützung für die Cloud. Nur rund ein Drittel der Befragten ist zufrieden mit der aktuell verfügbaren Literatur. Viele wünschen sich mehr Orientierung beim Risiko- und Compliance-Management sowie bei der Prüfbarkeit von Cloud-Services und Cloud-Anbietern.

Einsatz von ITSteuerungsmodellenIn drei von vier der betrachteten Unternehmen werden einschlägige Steuerungs-modelle für die IT eingesetzt. Zu diesen zählen Standards und Frameworks oder individuelle Steuerungsmodelle. Auffällig ist, dass insbesondere die Unternehmen, die ausgewählte Steuerungsmodelle nutzen, auch eine Cloud-Strategie entwickelt haben (84 Prozent; ohne Cloud-Strategie: 61 Prozent). Für die umsatzstarken Unternehmen spielen die Steuerungsmodelle eine größere Rolle als für die Unternehmen mit weniger als einer Milliarde Euro Umsatz (82 versus 68 Prozent).

Unternehmen, die ausgewählte Steuerungsmodelle nutzen, verfügen häufig auch über eine Cloud-Strategie.

Abb. 29 Einsatz von IT-Steuerungsmodellen

nein18 %

weiß nicht/k. A.7 %

ja75 %

84 % der Unternehmen, die individuelle Steuerungs modelle nutzen, entwickeln auch eine Cloud-Strategie.


Von den 228 Unternehmen, die einschlägige Steuerungsmodelle einsetzen, steuern drei von vier ihre Unternehmens-IT über ITIL, ISO 20000. Zwei von drei geben an, nach ISO/IEC 2700x zu steuern. Auch COBIT spielt mit 46 Prozent eine wichtige Rolle. Jedes fünfte Unternehmen steuert nach einem einschlägigen, aber individualisierten Modell.

Die Cloud-Nutzer haben mit den standardisierten Steuerungsmodellen bessere Erfahrungen gemacht als mit individuellen Steuerungsmodellen. Eine Ausnahme bildet CMMI (Capability Maturity Model Integration), das weniger stark verbreitet ist und auch im Zusammenhang mit Cloud Computing vergleichsweise schlechter bewertet wird.

Studienergebnisse

Abb. 30 Eingesetzte IT-Steuerungsmodelle

21 %

74 %

66 %

46 %

14 %

18 %

1 %

individuelles Modell, keine standardisierte

Methode

ITIL, ISO 20000

ISO/IEC 2700x

COBIT

CMMI

andere standardisierte

Methode

nicht bekannt/k. A.

Basis: Unternehmen, die einschlägige Steuerungsmodelle einsetzen, n = 228

„Hilfreich wären für uns vordefinierte Checklisten für RFQ, welche die Fach abteilungen an potentielle Service provider […] herausschicken könnten. Das aktuell verfügbare Material ist zu detailliert und […] risikobasierend statt Control based aufgesetzt.“

Teilnehmerzitat


Studienergebnisse

Die aktuelle Literatur und die Verfahren für die Cloud-Governance (Leitfäden, Frame works und Standards) werden von knapp jedem dritten Befragten als ausreichend eingeschätzt. Dennoch wünscht sich ein Großteil noch mehr Orientierung.

Abb. 32 Zufriedenheit mit der aktuellen Literatur

nicht bekannt/k. A.29 %

ja30 %

nein41 %

Abb. 31 Erfahrungen mit den eingesetzten Steuerungsmodellen

sehr gut

gut

weniger gut

überhaupt nicht

nicht bekannt/k. A.

Erfahrungen mit individuellem Steuerungsmodell, n = 47

Erfahrungen mit ISO/IEC 2700x n = 151

Erfahrungen mit ITIL, ISO 20000x n = 169

Erfahrungen mit COBIT, n = 104

Erfahrungen mit CMMI, n = 32

Erfahrungen mit anderen Standardmethoden, n = 41

13 %

13 %

11 %

11 % 11 %

19 %

19 %

40 %

68 %

54 %

54 %

38 %

57 %

21 %

20 %

40 %

11 %

12 %

19 %

15 %

15 %

8 %

26 %

3


Studienergebnisse

Die Befragten sehen vor allem bei der Prüfbarkeit von Cloud-Dienstleistungen Verbesserungs bedarf. Weitere wichtige Themen sind die Umsetzung rechtlicher Vorgaben sowie das Risikomanagement bei der Einführung von Cloud-Services. Insgesamt nehmen die Befragten jeweils rund vier der sechs Kategorien als ergänzungs bedürftig wahr.

90 Prozent der Befragten wünschen sich mehr Orientierung bei der Prüfbarkeit von Cloud-Services.

Von den neun Einzelnennungen zu „anderer Bereich“ betreffen vier konkret die Bereiche Datenschutz und Informationssicherheit. In den weiteren Zusatznennungen geht es um die Forensik in Cloud-Umgebungen, die Integration von Cloud-Services in ein klassisches IT-Service-Management sowie die Vertragsgestaltung und um mit der BaFin abgestimmte Standards.

Steuerungsfähigkeit von CloudServices versus konventioneller on premise ITIm Vergleich der Steuerungsfähigkeit einer im Unternehmen betriebenen, konventionellen on premise IT mit jener, die auf Cloud-Services basiert, zeigt sich deutlich: Es ist vor allem die Skalierung, die Cloud-basiert besser funktioniert als on premise.

Die Befragten sehen in folgenden vier Bereichen klare Vorteile bei den Cloud-Services: Skalierung, Effizienz (hinsichtlich der Geschwindigkeit der Bereitstellung) sowie Standardisierung und Kostenkontrolle. Dass die Kostenkontrolle und Geschwindigkeit der Bereitstellung bei einer Cloud-basierten IT besser funktioniert als bei einer konventionellen on premise IT meinen 62 respektive 55 Prozent der Befragten. Bei denen, die Cloud Computing nicht nutzen und dies auch nicht planen, sind es nur 39 bzw. 34 Prozent.

IasS: Die Verantwortung für die Informationssicherheit liegt eher beim Benutzer.

SaaS: Die Verantwortung liegt eher beim Cloud-Anbieter.

Abb. 33 Bereiche, in denen mehr Orientierung gewünscht wird

90 %

77 %

76 %

67 %

50 %

7 %

Prüfbarkeit von CloudDienst leistungen

Unterstützung bei der Umsetzung rechtlicher Vorgaben

Management von Risiken bei der Einführung von CloudDiensten

Standards und Leitfäden mit konkreten Empfehlungen für

bestimmte Anwendungs bereiche

Leitlinien für Entscheider

anderer Bereich

Basis: alle, die sich mehr Orientierung und Vorgaben wünschen, n = 124


Studienergebnisse

Größere Unsicherheit herrscht indes hinsichtlich der Erkennung von Sicherheitsvorfällen sowie der Reaktion auf diese. Nicht einmal die Hälfte derBefragten geht davon aus, dass Sicherheitsvorfälle beim Einsatz von Cloud-Servicesmindestens ebenso gut erkannt werden können, wie bei einer konventionellen IT on premise. Dass Cloud-Nutzer auf einen erkannten Sicherheitsvorfall in einem Cloud-Service besser oder zumindest gleich gut reagieren können, wie es bei einer konventionellen on premise IT möglich wäre, glaubt nicht einmal jeder Zweite.

Viele Befragte – mit 45 Prozent beinahe jeder Zweite – glaubt nicht, dassInformationen gegen Angriffe von außen mit einer Cloud-basierten Lösung besser oder ebenso gut geschützt sind, wie mit einer konventionellen on premise IT.

PaaS: Die Verantwortung ist verteilt und lösungsabhängig zu ermitteln.

Die Haftung verbleibt jedoch stets bei der Unternehmensführung!

Abb. 34 Vergleich der Steuerungsfähigkeit Cloud-Service versus konventionelle on premise IT

funktioniert besser als mit konventioneller on premise IT

funktioniert etwa eben so gut wie mit konventioneller on premise IT

funktioniert schlechter als mit eigener UnternehmensIT

nicht bekannt/k. A.

75 % 15 % 7 %

36 % 33 % 23 % 8 %

51 % 32 % 8 %9 %

51 % 34 % 8 % 7 %

58 % 28 % 7 %7 %

44 %14 % 30 % 12 %

43 %14 % 32 % 11 %

45 %14 % 32 % 9 %

49 %12 % 30 % 9 %

50 %10 % 32 % 8 %

Skalierung (Expansion, Reduzierung)

Effizienz, Geschwindigkeit der Bereitstellung

Standardisierung

Kostenkontrolle

Durchsetzung von Verfügbarkeits anforderungen

Reaktion auf erkannte Sicherheitsvorfällen

Erkennung von Sicherheitsvorfällen

Schutz von Informationen gegen Angriff von außen

Anpassung an funktionale Erfordernisse, z. B.

Anforderungen aus Fachabteilung

Schnittstellen, Integration verschiedener Verfahren

3


Studienergebnisse

Noch etwas skeptischer zeigen sich die Befragten hinsichtlich der tatsächlich generierbaren Vorteile durch die Cloud.

Jeder zweite Befragte gibt an, Anforderungen aus den Fachabteilungen besser mit einer konventionellen on premise IT erfüllen zu können; auch lassen sich Schnittstellen besser verwalten und vorhandene Systeme besser integrieren, wenn sie in der eigenen IT betrieben werden. Bei den Unternehmen, die die Cloud nicht nutzen und eine Nutzung auch nicht planen, glauben nur 39 Prozent der Befragten, dass mit dem Einsatz von Cloud Computing die Bereitstellung schneller funktioniert als konventionell on premise. Bei den Cloud-Nutzern sehen jedoch 62 Prozent eine Verbesserung gegenüber dem konventionellen Arbeiten on premise.

Bei den Unternehmen, die keine Cloud-Services nutzen, geht die Mehrheit der Befragten (54 Prozent) davon aus, dass sie so besser auf erkannte Sicherheitsvorfälle reagieren könne. Dem Erkennen von Sicherheitsvorfällen beim Einsatz von Cloud-Services stehen die Entscheider in den weltweit agierenden mitarbeiter- und umsatzstärkeren Unternehmen skeptischer gegenüber als ihre Kollegen in kleineren Unternehmen. So gehen die Befragten in den großen Unternehmen mit weltweit mehr als 5.000 Mitarbeitern zu 51 Prozent davon aus, dass Sicherheitsvorfälle in der Cloud schlechter erkannt werden können als beim Arbeiten mit einer konventionellen IT on premise. In den kleineren Unternehmen glaubt das nur gut jeder dritte Befragte.

„Von Flexibilität und Geschwindigkeit bleibt in der Regel nicht mehr viel übrig, wenn externe Lösungen mit internen verbunden werden müssen – was eigentlich immer der Fall ist.“

Teilnehmerzitat


Fazit und Ausblick

E


Fazit und Ausblick

Die Mehrheit der Befragten erwartet, dass der zunehmende Einsatz von Cloud-Services mit einem erhöhten Aufwand für die IT-Governance einhergeht. Besonders für das Sicherheits- und Risikomanagement sowie für Prüfungen und Audits sind steigende Aufwände zu erwarten. Zudem verändert sich die Rolle der internen IT, da sie zunehmend Integrations- und Steuerungsaufgaben übernehmen muss. Die Befragten rechnen weiterhin damit, zukünftig verstärkt auf externe Expertise zurückgreifen zu müssen.

Während der Aufwand für Planung und Evaluation nach Einschätzung der Befragten eher wenig beeinflusst wird, sehen 42 Prozent bei der Integration einen steigenden Integrationsaufwand infolge des zunehmenden Einsatzes von Cloud-Lösungen. Es erscheint bemerkenswert, dass die Befragten trotz der vielen Bemühungen um Standardisierung und Zertifizierung bei der IT-Governance dennoch steigende Aufwände erwarten.

Aus Sicht der großen Mehrheit der Befragten werden die Aufwände für das Sicherheits- und Risikomanagement sowie für juristische Prüfungen und Audits steigen. Die Cloud-Nutzer gehen häufiger als diejenigen Unternehmen, die keine Cloud-Services nutzen, davon aus, dass die Transparenz und Kontrollierbarkeit der Kosten infolge eines vermehrten Einsatzes von Cloud-Lösungen steigt (59 versus 37 Prozent). Unternehmen, die keine Cloud-Services nutzen, erwarten häufiger als die Nutzer-Unternehmen steigende Aufwände für das Risikomanagement, Zusatzaufwände für Planung und Evaluationen (45 versus 37 Prozent) sowie steigende Anforderungen im Sicherheitsmanagement (80 versus 74 Prozent).

„Die Sicherstellung der rechtlichen Verantwortung […] wird in der Wahr-nehmung ausgelagert, obwohl sie bei der Geschäftsführung liegt. Dies wird sich negativ auf die Sicherheit und die Compliance auswirken.“

Teilnehmerzitat

GESETZE


Der wesentliche Treiber Cloud-basierter Lösungen in den Unternehmen ist neben dem Bereich Marketing und Vertrieb der IT-Betrieb. Dieses Resultat ist vor allem mit Blick auf den IT-Betrieb bemerkenswert – zeigt es doch an, wie offen vier von zehn IT-Abteilungen gegenüber Cloud-Services sind. Gleichwohl scheint sich mit 28 Prozent auch ein nicht unerheblicher Anteil von IT-Abteilungen gegen Cloud Computing auszusprechen. Dies legt den Schluss nahe, dass die Veränderung der Bedeutung der IT-Abteilungen unterschiedlich gesehen wird.

Abb. 35 Auswirkungen eines vermehrten Einsatzes von Cloud-Lösungen auf die IT-Governance

wird vermutlich zunehmen

wird vermutlich gleich bleiben

wird vermutlich gleich abnehmen

nicht bekannt/k. A.

Anforderungen an das Sicherheitsmanagement

der Unternehmen

Aufwand für juristische Prüfungen

Kontroll/Auditierungsaufwand

Aufwand für Risikomanagement

Tranzparenz bzw. Kontrollierbarkeit der

Kosten

Intergrationsaufwand

Aufwand für Planung und Evalutionen

75 %

73 %

71 %

70 %

54 %

42 %

44 % 14 %

16 %

13 %

38 %

38 %

29 %

25 %

20 %

20 %

20 % 3

3

4

4

4

52

2

7 %


Als wahrscheinlich gilt den Befragten, dass sich die IT-Abteilungen zu wichtigen Mittlern zwischen den Fachabteilungen und den Cloud-Anbietern weiterentwickeln werden. Dass diese Entwicklung zu einem höheren Stellenwert der IT-Abteilungen führen wird, glaubt etwas mehr als ein Drittel der Befragten; ein weiteres Drittel sieht dies als eher unwahrscheinlich an.

Die IT-Abteilungen werden zu wichtigen Mittlern zwischen Fachabteilungen und Cloud-Anbietern.

Letztendlich ermöglicht Cloud Computing den Unternehmen, ihren Bedarf an IT-Leistungen flexibel zu decken. Fest steht jedoch auch, dass die Verantwortung für die Daten – gerade aufgrund der immer wieder entdeckten Sicherheitslücken in modernen IT-Systemen und der datenschutzrechtlichen Ereignisse der jüngsten Zeit – stets beim Management des Unternehmens verbleibt. Auf ihm lastet zudem ein scheinbar immer stärker werdender öffentlicher Druck.

In diesem Kontext sind auch zukünftig neue Anforderungen aus Politik und Standardisierungsgremien zu erwarten. Ein Beispiel ist das IT-Sicherheitsgesetz der Bundesregierung, das in der aktuellen Form noch diskutiert und voraussichtlich weitere Anpassungen erfahren wird. Auch der EU-Richtlinienentwurf zur Informations- und Netzsicherheit, der bereits bestimmte Sicherheitsprotokolle und Kontrollmechanismen für Cloud-Services voraussetzt, wird derzeit noch überarbeitet. Gleiches gilt für den angekündigten Standard ISO/IEC 27017 Information Technology – Security Techniques – Code of Practice for Information Security Controls based on ISO/IEC 27002 for Cloud Services.

Die Politik befasst sich auch mit den datenschutzrechtlichen Auswirkungen von Cloud Computing. Dringend notwendig erscheint etwa die Überarbeitung der Datenschutzrichtlinie 95/46/EG aus dem Jahr 1995 – als übergreifende europäische Lösung in Form der geplanten Datenschutz-Grundverordnung. Mit ihr ließe sich der Datenschutz in der EU vereinheitlichen.

Aufgrund der oben genannten Ankündigungen sind in den nächsten Monaten teil-weise gravierende Veränderungen bei den Compliance-Anforderungen zu erwarten. Dabei ist klar zu erkennen, dass Sicherheit ein Prozess ist, der von zahlreichen Faktoren beeinflusst wird. Die Verantwortungsträger müssen ihn immer wieder hinterfragen und überprüfen sowie gegebenenfalls anpassen. Denn: Letztendlich haftet für die Informationssicherheit stets die Unternehmensführung. Es liegt aber auch an den Cloud-Anbietern und der Politik, die Bedenken der Unternehmen aufzugreifen und Rahmenbedingungen zu schaffen, die das Sicherheitsrisiko bei Einsatz von Cloud-Services wirksam verringern.

Fazit und Ausblick

Abb. 36 Wahrscheinlichkeit des Bedeutungszuwachses der IT-Abteilung

39 % 37 % 4 %20 %

eher wahrscheinlich (Wertpunkte 10–7 auf der 10erSkala)

eher wahrscheinlich (Wertpunkte 1–4 auf der 10erSkala)

mittel (5 und 6 auf der 10erSkala)

nicht bekannt/k. A.


Ihre Ansprechpartner


PwC ISACA

Markus VehlowTel: +49 69 [email protected]

Dr. KarlFriedrich ThierTel: +49 175 [email protected]



PwC

Über unsUnsere Mandanten stehen tagtäglich vor vielfältigen Aufgaben, möchten neue Ideen umsetzen und suchen Rat. Sie erwarten, dass wir sie ganzheitlich betreuen und praxisorientierte Lösungen mit größtmöglichem Nutzen entwickeln. Deshalb setzen wir für jeden Mandanten, ob Global Player, Familienunternehmen oder kommunaler Träger, unser gesamtes Potenzial ein: Erfahrung, Branchenkenntnis, Fachwissen, Qualitätsanspruch, Innovationskraft und die Ressourcen unseres Expertennetzwerks in 157 Ländern. Besonders wichtig ist uns die vertrauensvolle Zusammenarbeit mit unseren Mandanten, denn je besser wir sie kennen und verstehen, umso gezielter können wir sie unterstützen.

PwC. 9.400 engagierte Menschen an 29 Standorten. 1,55 Mrd. Euro Gesamt leistung. Führende Wirtschaftsprüfungs- und Beratungsgesellschaft in Deutschland.

ISACA

Über unsWir sind ein Berufsverband von IT-Revisoren, IT-Sicherheitsmanagern und IT-Governance-Experten. ISACA Germany Chapter e. V. wurde 1986 gegründet und bildet mit über 2.400 Mitgliedern einen wichtigen Teil des internationalen Verbandes ISACA, dem weltweit mehr als 115.000 Know-How-Träger in über 180 Ländern der Welt angehören. Der internationale Berufs verband ISACA entwickelt internationale IS-Prüfungs- und Kontrollstandards und ist Ausrichter internationaler Konferenzen sowie Herausgeber des ISACA Journal.

ISACA fördert die Anerkennung des Berufsstandes durch die Verbreitung von Berufs standards und Arbeitstechniken sowie durch die ständige Weiterbildung und die Zertifizierung zum Certified Information Systems Auditor (CISA), zum Certified Information Security Manager (CISM), zum IT-Governance Experten (Certified in the Governance of Enterprise IT (CGEIT)) und zum Certified in Risk and Information System Control Experten (CRISC). Daneben bieten wir nationale auf COBIT aufbauende Zertifikatsprogramme zum IT-Governance & IT-Compliance Practitioner, IT-Governance-Manager und IT-Compliance-Manager und parallel dazu den Quality Assurance Review-IT an.

© Juni 2015 PricewaterhouseCoopers Aktiengesellschaft Wirtschaftsprüfungsgesellschaft. Alle Rechte vorbehalten. „PwC“ bezeichnet in diesem Dokument die PricewaterhouseCoopers Aktiengesellschaft Wirtschaftsprüfungsgesellschaft, die eine Mitgliedsgesellschaft der PricewaterhouseCoopers International Limited (PwCIL) ist. Jede der Mitgliedsgesellschaften der PwCIL ist eine rechtlich selbstständige Gesellschaft.

Cloud Governance in Deutschland – eine Standort bestimmung

Herausgegeben von der PricewaterhouseCoopers AG Wirtschaftsprüfungsgesellschaft (PwC)

AutorenPwC: Markus Vehlow (Partner), Aleksei Resetko, Immo Regener, Elisabeth OpfermannISACA: Oliver Helios (Helios Group), Ralf Herter (BASF Business Services GmbH), Alexander W. Koehler (ICT Economic Impact Ltd.), Markus J Neuhaus (marim consult), Edgar Röder (DHC GmbH), Folker Scholz (FSU), Jürgen Sonsalla (Flughafen Köln/Bonn GmbH), Werner Syndikus (tobaccoland automatenges. mbH), Karl-Friedrich Thier (T-Systems International GmbH)

Juni 2015, 56 Seiten, 36 Abbildungen, Softcover

Alle Rechte vorbehalten. Vervielfältigungen, Mikroverfilmung, die Einspeicherung und Verarbeitung in elektronischen Medien sind ohne Zustimmung des Herausgebers nicht gestattet.

Die Inhalte dieser Publikation sind zur Information unserer Mandanten bestimmt. Sie entsprechen dem Kenntnisstand der Autoren zum Zeitpunkt der Veröffentlichung. Für die Lösung einschlägiger Probleme greifen Sie bitte auf die in der Publikation angegebenen Quellen zurück oder wenden sich an die genannten Ansprechpartner. Meinungsbeiträge geben die Auffassung der einzelnen Autoren wieder. In den Grafiken kann es zu Rundungsdifferenzen kommen.

www.pwc.de

www.isaca.de

www.pwc.de

Cloud Governance in Deutschland – eine Standort bestimmung · Grund genug, eine Zwischenbilanz zu...

Documents

Transcript of Cloud Governance in Deutschland – eine Standort bestimmung · Grund genug, eine Zwischenbilanz zu...